Risposta. — Si riscontra l'atto di sindacato ispettivo 4-05348, con il quale l'interrogante chiede di sapere quali siano le modalità di individuazione e assegnazione della soluzione tecnologica di contact tracing e le modalità di gestione dei dati sensibili; per quali scopi verranno gestiti tali dati, se solo per scopi sanitari, oppure se ne verranno fatti altri usi e per quanto tempo saranno archiviati; se e come il Governo intenda chiarire gli aspetti più controversi dell'app sopra richiamata; se e come si intenda garantire la privacy dei cittadini e proteggere la loro sicurezza e quella nazionale dalle criticità segnalate.
  Al riguardo, rappresento quanto segue.
  Per quanto attiene alla procedura di selezione ed assegnazione della soluzione tecnologica di contact tracing, mi ricollego a quanto illustrato in più sedi parlamentari. Dopo la disamina svolta dal «Gruppo di lavoro data-driven per l'emergenza Covid-19» (sui cui lavori rinvio alle relative relazioni, di cui ho promosso la pubblicazione nel sito https://innovazione.gov.it/task-force-dati-le-relazioni-delle-attivita-dei-gruppi-che-hanno-valutato-le-app/), con nota del 10 aprile 2020 a firma mia e del Ministro della salute è stata trasmessa al Presidente del Consiglio dei ministri una breve relazione riepilogativa nella quale era precisato che l'app «Immuni» era risultata la più idonea come base per la realizzazione del sistema nazionale di contact tracing digitale. Alla nota sono state allegate tutte le relazioni predisposte dal gruppo di lavoro.
  Nella medesima giornata, il Presidente del Consiglio dei ministri ha chiesto al commissario di procedere rapidamente, nell'ambito dei poteri conferiti dall'articolo 122 del decreto-legge 17 marzo 2020, n. 18, a valutare le modalità con cui dare attuazione alla proposta ricevuta.
  Con ordinanza n. 10/2020, il commissario, raccordandosi con la Presidenza del Consiglio dei ministri, ha stipulato il contratto con il quale la società sviluppatrice dell'app, allo scopo esclusivo di fornire un proprio contributo, volontario e personale, utile per fronteggiare l'emergenza da COVID-19 in atto, ha concesso la licenza d'uso aperta, gratuita, perpetua e irrevocabile del codice sorgente e di tutte le componenti dell'app «Immuni», nonché si è impegnata, sempre gratuitamente e pro bono, a completare gli sviluppi software necessari per la messa in esercizio del sistema nazionale di contact tracing digitale.
  Precisata la procedura di selezione ed assegnazione della soluzione tecnologica di contact tracing, mi preme puntualizzare i profili di privacy richiamati dall'onorevole interrogante.
  Al riguardo, invero, già nel corso delle audizioni presso le competenti Commissioni parlamentari, ho affermato che l'adozione del sistema di contact tracing sarebbe dipesa dall'approvazione di una norma primaria, indispensabile per delimitarne il campo e le modalità di azione, oltre che fornire il necessario quadro di garanzie per i cittadini utilizzatori anche sotto il profilo della privacy.
  Tale intervento è stato varato: in data 30 aprile 2020 è stato pubblicato nella Gazzetta Ufficiale il decreto-legge 30 aprile 2020, n. 28, recante Misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, ulteriori misure urgenti in materia di ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile e misure urgenti per l'introduzione del sistema di allerta Covid-19. L'articolo 6, rubricato «Sistema di allerta Covid-19» contiene le disposizioni miranti a dare risposta agli aspetti che più hanno ingenerato legittime domande e anche timori, cui pure si fa riferimento nell'interrogazione (quali siano le modalità di gestione dei dati sensibili; per quali scopi verranno gestiti tali dati; se e come si intenda garantire la privacy dei cittadini e proteggere la loro sicurezza e quella nazionale).
  In particolare, viene individuato il titolare del trattamento dei dati nel Ministero della salute, che si coordina, nel rispetto del regolamento (UE)2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (articolo 28), con i soggetti competenti in relazione alla tipologia di dati trattati.
  Sono poi previste misure tecniche e organizzative idonee a garantire la sicurezza dei diritti e le libertà degli interessati; tali misure sono adottate dal Ministero della salute, sentito il Garante per la protezione dei dati personali, garantiranno che:

   a) gli utenti riceveranno, prima dell'attivazione dell'applicazione, informazioni chiare e trasparenti sulle finalità e sulle operazioni di trattamento;

   b) i dati personali raccolti dall'applicazione saranno esclusivamente quelli necessari ad avvisare gli utenti dell'applicazione di rientrare tra i contatti stretti di altri utenti accertati positivi al Covid-19;

   c) il tracciamento dei contatti sarà basato sul trattamento di dati di sola prossimità dei dispositivi, resi anonimi oppure, ove ciò non sia possibile, pseudonimizzati. A tale proposito specifico espressamente che è esclusa in ogni caso la geolocalizzazione dei singoli utenti;

   d) per evitare il rischio di reidentificazione degli interessati saranno garantite tutte le adeguate misure di sicurezza dei sistemi e dei servizi di trattamento;

   e) i dati relativi ai contatti stretti saranno conservati, anche nei dispositivi mobili degli utenti, per il periodo, stabilito dal Ministero della salute, strettamente necessario al tracciamento. È previsto che alla scadenza del termine siano cancellati in modo automatico.

  Circa gli scopi di utilizzo, la norma precisa che i dati raccolti attraverso l'applicazione non possano essere utilizzati per finalità diverse da quella dell'app, salva la possibilità di utilizzo in forma aggregata o comunque anonima, per soli fini di sanità pubblica, profilassi, statistici o di ricerca scientifica, nel rispetto del diritto europeo.
  Con riguardo agli aspetti di sicurezza, è chiaramente affermato che la titolarità della piattaforma così come la sua gestione saranno pubbliche, con infrastrutture localizzate esclusivamente sul territorio nazionale, e affidate ad amministrazioni o enti pubblici o società interamente in mano pubblica. I programmi sviluppati saranno open source, aperti e verificabili, secondo le previsioni di legge.
  Infine, viene stabilita una durata temporalmente limitata del trattamento e dell'utilizzo dell'applicazione, fino al termine dello stato di emergenza e comunque non oltre il 31 dicembre 2020, data entro la quale tutti i dati personali trattati sono definitivamente cancellati o resi anonimi. Giova evidenziare che su tale disposizione il Garante per la protezione dei dati personali ha espresso parere favorevole, ritenendo il sistema di contact tracing prefigurato, coerente con i princìpi e le disposizioni in materia di protezione dei dati personali.
  Si tratta, dunque, di un intervento normativo, che verrà posto all'esame del Parlamento e che trova la sua chiave nella proporzionalità, ragionevolezza, e nella volontarietà. Infatti la modalità di tracciamento dei contatti tramite l'applicazione è complementare alle ordinarie modalità in uso nell'ambito del Servizio sanitario nazionale e che l'eventuale mancato utilizzo dell'applicazione non comporta alcuna conseguenza pregiudizievole ed è assicurato il rispetto del principio di parità di trattamento.
La Ministra per l'innovazione tecnologica e la digitalizzazione: Paola Pisano.